Arcane 官方镜像 getarcaneapp/manager 有三条高危:持有 registries 更新和测试权限时可把已存令牌发到攻击者主机(CVE-2026-96626,CVSS 8.5,修复 ≥2.5.0);持有 users:update 可改全局管理员口令哈希(CVE-2026-96627,CVSS 8.8,修复 ≥2.6.0);OIDC 账户合并在缺少 email_verified 时默认放开(GHSA-577w-5mcf-3wc9,CVSS 8.8,暂无 CVE,受影响低于 v2.15.0,修复 ≥v2.16.0)。请升到 v2.16.0 或更高。
Harbor 低于 2.13.6、2.14.0 至 2.14.4、2.15.0 至 2.15.2 存在三条高危问题:项目管理员可将 webhook 指向内网并读到错误响应(GHSA-2phj-cp9f-qq6w,CVSS 8.5);/v2/ 路径中的 .. 可跨项目读写 manifest(GHSA-qj39-pjf2-wmrc,CVSS 8.3);HTTP 认证代理下名为 admin 的用户会获得仓库管理员权限(GHSA-xvh7-74g6-29xw,CVSS 7.5)。请升级到 2.13.6、2.14.5 或 2.15.3。暂无 CVE 编号。
Harbor 低于 2.13.6、2.14.0 至 2.14.4、2.15.0 至 2.15.2 时,带有 User: Update 的系统机器人可以改任意用户的系统管理员标记;勾选覆盖所有项目并带有 Project 权限的系统机器人会变成全局权限(两条均为 High,CVSS 7.2,暂无 CVE 编号)。请升级到 2.13.6、2.14.5 或 2.15.3。同一批版本也修复了 CVE-2026-92770。
2026.4.2 之前的 Perforce P4 Search 容器镜像默认开启无需认证的 Java 调试接口,并能把服务认证令牌重置为公开文档中的默认值(CVE-2026-100102,CVSS 9.5;CVE-2026-100103,CVSS 10.0)。请升级到镜像内版本 2026.4.2 或更高,并限制调试端口与服务端口的网络暴露。
Harbor 扫描仪 AccessCredential 可经 q 过滤逐字符泄露(CVE-2026-92770)。官方修复版本为 2.13.6、2.14.5、2.15.3,以及 2.16.0 及以上;不可信用户能创建项目时请轮换扫描仪凭据。macOS Docker Sandboxes 升至 v0.42.0+(CVE-2026-77179 / 79994);Docker MCP Gateway 升至 v0.42.2+(CVE-2026-55887)。
数据库备份还在往 /backup 里 cp:目录越堆越乱,想给开发一条限时下载链接,只能开 Samba 或再拷 U 盘。业务代码已经按 Amazon S3 写好了 SDK——Access Key、Bucket、预签名 URL 都现成——却没有一台对内的对象存储。CI 产物留在 runner 本地,换机器就丢;监控录像和照片混在 NAS 共享目录里,没法按桶授权,也开不出「只给这一个文件、十分钟有效」的地址。